Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung auf dieser Website, in der iOS-App „MyCaliplan“ (siehe Ziffer 20) und innerhalb der angebotenen Dienste ist:

Diego Morales Morón
Binsenweg 8
73557 Mutlangen
Deutschland

E-Mail: kontakt@mycaliplan.de
Telefon: +49 173 9028256

2. Allgemeine Hinweise zur Datenverarbeitung

Der Schutz personenbezogener Daten hat für uns einen hohen Stellenwert. Personenbezogene Daten werden vertraulich und entsprechend den gesetzlichen Datenschutzvorschriften sowie dieser Datenschutzerklärung verarbeitet.

Für Trainingsplan, Trainings-Protokoll und App benötigen Sie ein Kundenkonto; es wird mit dem Kauf angelegt. Einige Angebote nutzen Sie ohne Konto: die kostenlose Einstufung (mit freiwilliger E-Mail-Anmeldung), das Feedback-Formular sowie die Formulare zur Kündigung und zum Widerruf. Fordern Sie einen Anmeldecode an, verarbeiten wir die eingegebene E-Mail-Adresse auch dann, wenn kein Konto besteht (Schutz vor Missbrauch, siehe Ziffer 21).

Für Konto und Plan benötigen wir Ihre E-Mail-Adresse und die im Fragebogen als Pflichtfeld gekennzeichneten Angaben; ohne sie können wir kein Konto anlegen bzw. keinen Plan erstellen. Zu Gesundheitsangaben siehe Ziffer 6.

3. Welche Daten wir verarbeiten

Wir verarbeiten insbesondere folgende personenbezogene Daten:

a) Konto- und Anmeldedaten

• E-Mail-Adresse
• Anmeldecodes, Anmeldelinks und Anmelde-Token der App – in unserer Datenbank nur als Prüfwert (Hash), nicht im Klartext
• Sitzungsdaten der Anmeldung
• Zähler der Anmeldeversuche je E-Mail-Adresse (Missbrauchsschutz)

b) Trainings- und Gesundheitsdaten

Gesundheitsdaten (besondere Kategorie nach Art. 9 DSGVO) verarbeiten wir nur mit Ihrer freiwilligen Einwilligung (Ziffer 6):

• Angaben zu Verletzungen und körperlichen Einschränkungen
• Körperbereiche mit Beschwerden, gesundheitliche Hinweise (z. B. Vorerkrankungen, Operationen)
• Selbsteinschätzung zu Beweglichkeit, Schlaf und Stress
• Gewicht, Zielgewicht und geschätzter Körperfettanteil
• gesundheitsbezogene Inhalte Ihrer Trainings-Notizen und Änderungswünsche sowie die daraus abgeleiteten persönlichen Sicherheitshinweise in Ihrem Plan

Trainingsdaten:

• Alter, Größe, Geschlecht
• Trainingsziele und Leistungsstand
• Selbsteinschätzungen zu Skill-Levels und Progressionsstufen (z. B. Planche, Front Lever oder Handstand)
• Trainings-Logs und Fortschrittsdaten einschließlich Ihrer Notizen und Rückmeldungen zu Trainingseinheiten sowie früherer Stände (Papierkorb)
• Freitextangaben innerhalb des Fragebogens
• Ihr Trainingsplan mit allen Versionen und Entlastungswochen
• Ihre Ziel-Einstellungen (ausgewählte Ziel-Skills und Stufen)

c) Zahlungs- und Vertragsdaten

Zahlungen werden über Stripe verarbeitet (Ziffer 8 d). Wir selbst speichern keine Kreditkarten- oder Kontodaten, sondern Angaben zum Kauf (Produkt, Betrag, Zeitpunkt, Kennungen des Zahlungsvorgangs bei Stripe), Ihre Erklärungen im Bestellvorgang (Wortlaut, Fassung, Zeitpunkt, E-Mail-Adresse) und den Versandstatus Ihrer Bestellbestätigung.

d) Technische Daten

• IP-Adresse (beim Aufruf; in unserer Datenbank speichern wir sie nicht)
• Server-Logfiles
• Geräte- und Browserinformationen, bei der App die App-Version
• Session-Informationen

e) Kommunikations- und Formulardaten

• Inhalte von E-Mails an uns
• Angaben im Feedback-Formular und im Zufriedenheits-Hinweis (Nachricht, Bewertung, Anzeigename, freiwillige Kontakt-Adresse)
• Angaben in den Formularen zu Kündigung und Widerruf (beim Widerruf auch Ihr Name)
• Ihre Reaktionen auf Neuigkeiten im Konto

f) Kostenlose Einstufung und Newsletter

E-Mail-Adresse, Ihre Eingaben in der Einstufung und das daraus berechnete Ergebnis, die Herkunft der Anmeldung, die Zeitpunkte von Anmeldung, Bestätigung und Versand sowie – falls Sie den Newsletter wählen – Wortlaut, Fassung und Zeitpunkt Ihrer Einwilligung (Ziffer 14 a).

g) Nachweise und Protokolle

• Erteilung, Ablehnung und Widerruf Ihrer Einwilligung zu Gesundheitsdaten (Zeitpunkt, Quelle, Fassung des Textes; ohne IP-Adresse)
• Protokoll versandter E-Mails (Art der E-Mail, Empfänger, Betreff, Zeitpunkt, Zustellstatus; Ziffer 14 d)
• Löschprotokoll (nur Art des gelöschten Eintrags, interne Kennung und Zeitpunkt, ohne Inhalte; Ziffer 21)

h) Daten auf Ihrem Gerät

Im Browser und in der App legen wir einzelne Angaben auf Ihrem Gerät ab, damit die gewünschten Funktionen arbeiten (Ziffer 13 und 20).

4. Zwecke der Verarbeitung

Die Verarbeitung erfolgt insbesondere zu folgenden Zwecken:

• Bereitstellung der Plattform und der iOS-App
• Erstellung individueller Trainingspläne
• KI-gestützte Anpassung von Trainingsplänen
• Berücksichtigung Ihrer Gesundheitsangaben dabei – nur mit Ihrer Einwilligung (Ziffer 6)
• Nutzerverwaltung und Login, Schutz der Anmeldung vor Missbrauch
• Zahlungsabwicklung
• Versand transaktionaler E-Mails
• Erfüllung gesetzlicher Pflichten (Bestellbestätigung, Entgegennahme und Bestätigung von Kündigungen und Widerrufen, Aufbewahrung von Buchungsbelegen)
• Nachweis Ihrer Erklärungen und Einwilligungen sowie des E-Mail-Versands
• Versand der zum Pro-Abo gehörenden Trainings-Erinnerungen und Anpassungs-Hinweise (abbestellbar, siehe Ziffer 14 b)
• Newsletter für Einstufungs-Anmeldungen mit Einwilligung (jederzeit widerrufbar, siehe Ziffer 14)
• Bearbeitung von Feedback und – mit Ihrer Einwilligung – Veröffentlichung von Bewertungen
• Beantwortung Ihrer Anfragen
• Datensicherung und Wiederherstellung
• Systemsicherheit und Fehleranalyse

5. Rechtsgrundlagen der Verarbeitung

Die Verarbeitung personenbezogener Daten erfolgt insbesondere auf folgenden Grundlagen:

• Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Nutzungsvertrags sowie Durchführung vorvertraglicher Maßnahmen, z. B. Konto, Login, Bereitstellung und Anpassung der Trainingspläne, App, Zahlungsabwicklung, Pflicht-E-Mails, die zum Pro-Abo gehörenden Erinnerungs- und Hinweis-Mails, Zusendung des von Ihnen angeforderten Einstufungs-Ergebnisses);
• Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung), soweit wir Buchungsbelege aufbewahren (§ 147 AO), Bestellungen bestätigen (§ 312f BGB) sowie Kündigungen und Widerrufe entgegennehmen und bestätigen (§§ 312k, 356a BGB);
• Art. 6 Abs. 1 lit. f DSGVO (berechtigte Interessen) – unsere Interessen sind: Sicherheit und stabiler Betrieb, Fehleranalyse, Schutz der Anmeldung vor Missbrauch, Nachweis von Erklärungen, Einwilligungen und E-Mail-Versand, Schutz vor Datenverlust durch Sicherungskopien, Bearbeitung von Rückmeldungen und Verbesserung des Angebots, Beachtung von Werbe-Widersprüchen (Sperrliste), Darstellung unseres Angebots auf Instagram (Ziffer 8 k);
• Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) für den Newsletter der Einstufung (Ziffer 14 a), die Veröffentlichung von Bewertungen (Ziffer 21);
• Werbung per E-Mail an Kundinnen und Kunden ohne Einwilligung versenden wir nicht; um eine Bewertung bitten wir nur innerhalb des Kundenbereichs (Ziffer 21).

Die Speicherung von Informationen auf Ihrem Gerät und der Zugriff darauf richten sich zusätzlich nach § 25 TDDDG (Ziffer 13 und 20).

Gesundheitsdaten (Ziffer 6) verarbeiten wir ausschließlich auf Grundlage Ihrer ausdrücklichen Einwilligung gemäß Art. 9 Abs. 2 lit. a DSGVO. Diese Einwilligung ist freiwillig; Bestellung und Nutzung hängen nicht von ihr ab. Den Nachweis von Erteilung, Ablehnung und Widerruf speichern wir, weil wir die Einwilligung nachweisen müssen (Art. 6 Abs. 1 lit. c i. V. m. Art. 7 Abs. 1 DSGVO).

6. Verarbeitung besonderer Kategorien personenbezogener Daten (Art. 9 DSGVO)

Als Gesundheitsdaten behandeln wir Angaben zu Verletzungen und Einschränkungen, zu Körperbereichen mit Beschwerden und gesundheitliche Hinweise, Ihre Selbsteinschätzung zu Beweglichkeit, Schlaf und Stress, Gewicht, Zielgewicht und geschätzten Körperfettanteil, gesundheitsbezogene Inhalte Ihrer Trainings-Notizen und Änderungswünsche sowie die daraus abgeleiteten persönlichen Sicherheitshinweise in Ihrem Plan. Wir fassen den Begriff bewusst weit, weil schon Angaben genügen, aus denen sich Rückschlüsse auf den Gesundheitszustand ziehen lassen.

a) Freiwillige Einwilligung

Wir verarbeiten diese Angaben nur mit Ihrer ausdrücklichen Einwilligung. Ob Gesundheitsangaben in Ihren Plan einfließen sollen, entscheiden Sie im Fragebogen vor der ersten Gesundheitsfrage. Die Einwilligung ist freiwillig: Bestellung und Nutzung hängen nicht von ihr ab. Ohne Einwilligung blenden wir diese Fragen aus, übertragen keine Gesundheitsangaben, und Ihr Plan wird ohne sie erstellt – mit allgemeinen Sicherheitshinweisen und vorsichtiger Steigerung; Verletzungen oder Beschwerden kann er dann nicht berücksichtigen. In die Verarbeitung von Gesundheitsangaben können Sie ab 16 Jahren selbst einwilligen (Ziffer 17).

Zweck ist ausschließlich die Erstellung und Anpassung Ihres Trainingsplans einschließlich der dafür nötigen Übermittlung an den KI-Dienst (Ziffer 7 und 8 c). Erteilung, Ablehnung und Widerruf speichern wir mit Zeitpunkt, Quelle und Fassung des Einwilligungstextes als Nachweis; ohne gültige Einwilligung speichern wir neu eingegebene Gesundheitsangaben nicht und übermitteln sie nicht an den KI-Dienst.

Bis Oktober 2026 war die Einwilligung beim Kauf bzw. bei der Plan-Erstellung verpflichtend. Solche früheren Einwilligungen – und solche, die wir nicht einzeln nachweisen können – nutzen wir nicht mehr als Grundlage: Die damals gemachten Gesundheitsangaben werden nicht verwendet und nicht an den KI-Dienst übermittelt, bis Sie im Profil-Bereich freiwillig neu einwilligen. Bis dahin können Sie MyCaliplan ohne Gesundheitsangaben nutzen. Widerrufen Sie oder löschen Sie Ihr Konto, löschen wir die Angaben.

b) Widerruf und seine Folgen

Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen – am einfachsten direkt in Ihrem Account im Profil-Bereich („Gesundheitsdaten“, auf der Website und in der App) oder per E-Mail an kontakt@mycaliplan.de. Beim Widerruf über den Profil-Bereich

• vermerken wir den Widerruf mit Zeitpunkt; ab dann übermitteln wir bei Erstellung oder Anpassung Ihres Plans keine Gesundheitsangaben mehr an den KI-Dienst und vorsorglich auch keine Freitexte (Trainings-Notizen, Änderungswünsche) und keine aus Gesundheitsangaben abgeleiteten Hinweise Ihres bisherigen Plans;
• löschen wir die Gesundheitsangaben aus Ihren gespeicherten Fragebogen-Antworten und aus den zu Ihren Planversionen gespeicherten Eingabe-Kopien;
• ersetzen wir die persönlichen Sicherheitshinweise in allen Versionen Ihres Plans durch einen allgemeinen Sicherheitshinweis; Übungen, Sätze und Varianten bleiben erhalten;
• löschen wir auf Ihren Wunsch zusätzlich die Freitexte Ihrer Trainings-Einträge (Notizen, Rückmeldungen) einschließlich früherer Stände; behalten Sie sie, zeigen wir sie nur noch Ihnen an und geben sie nicht an den KI-Dienst;
• entfernen wir einen auf diesem Gerät zwischengespeicherten Fragebogen-Entwurf.

Bereits erstellte Trainingspläne bleiben bestehen; einzelne Übungen oder Übungs-Hinweise können weiterhin indirekt auf Ihren früheren Angaben beruhen. Wenn Sie auch diese entfernt haben möchten, löschen Sie Ihr Konto oder schreiben Sie uns (Art. 17 DSGVO). Was vor dem Widerruf bereits an den KI-Dienst übermittelt oder per E-Mail versandt wurde, bleibt vom Widerruf unberührt. Sicherungskopien (Ziffer 8 h) laufen nach ihrer Frist ab. Seit Einführung unseres Löschprotokolls (Oktober 2026) wenden wir einen Widerruf erneut an, wenn wir eine Sicherung wiederherstellen. Sicherungen aus der Zeit davor enthalten diesen Vermerk nicht; müssten wir aus einer solchen Sicherung wiederherstellen, entfernen wir die Angaben erneut, soweit uns Ihr Widerruf dann noch bekannt ist.

Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt hiervon unberührt.

Nach einem Widerruf können Plan-Anpassungen Verletzungen und Einschränkungen nicht mehr berücksichtigen; alle übrigen Funktionen bleiben unverändert nutzbar. Sie können später erneut einwilligen.

7. KI-gestützte Trainingsplanerstellung

Erstellung und Anpassung Ihres Trainingsplans erfolgen vollständig automatisiert mithilfe eines KI-Modells des Anbieters Anthropic (Claude, siehe Ziffer 8 c). Eine menschliche Einzelprüfung jedes Trainingsplans findet nicht statt; der Plan wird vor dem Speichern nur automatisch auf Aufbau, Einheiten und Übungskatalog geprüft.

Dazu übermitteln wir an den Anbieter:

• Ihre Fragebogen-Angaben (Ziele, Trainingsstand, Körper- und Lebensstilangaben, Ausstattung und – soweit Sie eingewilligt haben – Angaben zu Verletzungen, Schmerzen und gesundheitlichen Hinweisen), jeweils einschließlich Ihrer Freitexte;
• bei einer Anpassung oder einem Zielwechsel zusätzlich eine Zusammenfassung Ihrer letzten Trainingseinheiten (bis zu 50 Einträge, einschließlich Ihrer Notizen), Ihren bisherigen Plan sowie Ihre Änderungswünsche und Hinweise.

Name, E-Mail-Adresse und Kundennummer übermitteln wir nicht. E-Mail-Adressen und Telefonnummern entfernen wir vor der Übermittlung automatisch aus Ihren Freitexten; andere Inhalte Ihrer Freitexte gehen unverändert an den Anbieter – bitte tragen Sie dort keine Namen oder Diagnosen ein. Nach einem Widerruf Ihrer Einwilligung zu Gesundheitsdaten gilt Ziffer 6.

Bei der Zusammenstellung des Plans werden Ihre Angaben automatisiert ausgewertet, um Ihren Trainingsstand einzuschätzen (Profiling). Es erfolgt keine automatisierte Entscheidung mit rechtlicher oder vergleichbar erheblicher Wirkung im Sinne des Art. 22 DSGVO. Eine individuelle medizinische Beratung, Diagnose oder Behandlung erfolgt nicht.

8. Empfänger und eingesetzte Dienstleister

Wir setzen folgende Dienstleister ein. Wo mit einem Dienstleister ein Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO) besteht oder er in eigener Verantwortung handelt, ist das beim jeweiligen Dienstleister angegeben. Zur Übermittlung in Länder außerhalb der EU siehe Ziffer 9.

a) Hosting der Anwendung

Render Services, Inc., San Francisco, CA, USA. Zweck: Betrieb von Website, Schnittstellen für die App und Server-Logfiles. Die Anwendung läuft in einem Rechenzentrum in Frankfurt am Main; ein Zugriff aus den USA ist nicht ausgeschlossen. Render nutzt für Verbindungsaufbau, Verschlüsselung und Auslieferung das Netzwerk von Cloudflare; dabei werden IP-Adresse und Verbindungsdaten verarbeitet. Datenkategorien: IP-Adresse, aufgerufene Adresse einschließlich URL-Parametern, technische Logfiles, Anfrage-Metadaten. Mit Render besteht ein Vertrag zur Auftragsverarbeitung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. f DSGVO. Datenschutz: render.com/privacy.

b) Datenbank

Neon, LLC, ein verbundenes Unternehmen der Databricks, Inc., USA. Zweck: Speicherung von Konto-, Trainings- und Fortschrittsdaten in einer verwalteten PostgreSQL-Datenbank. Speicherort: Rechenzentrum von Amazon Web Services in Frankfurt am Main; ein Zugriff aus den USA ist nicht ausgeschlossen. Datenkategorien: alle bei uns gespeicherten Daten aus Ziffer 3 (Konto, Training und Gesundheit, Kauf, Formulare, Einstufung, Nachweise) – nicht dagegen vollständige Zahlungsdaten, E-Mails an uns (Ziffer 8 i) und Daten auf Ihrem Gerät. Neon ist in unserem Auftrag tätig; Grundlage ist der Vertrag zur Auftragsverarbeitung (Data Processing Addendum der Databricks, Inc.), der in die Vertragsbedingungen des Anbieters einbezogen ist. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, hinsichtlich Gesundheitsdaten zusätzlich Art. 9 Abs. 2 lit. a DSGVO. Datenschutz: neon.tech/privacy-policy.

c) KI-gestützte Planerstellung

Anthropic: Vertragspartner ist nach den Vertragsbedingungen des Anbieters für Kunden im Europäischen Wirtschaftsraum die Anthropic Ireland, Limited, 6th Floor, South Bank House, Barrow Street, Dublin 4, Irland; verarbeitet werden die Daten durch die Muttergesellschaft Anthropic, PBC, San Francisco, CA, USA. Zweck: KI-gestützte Erstellung und Anpassung individueller Trainingspläne (Claude API). Datenkategorien: siehe Ziffer 7 – ohne Name, E-Mail-Adresse und Kundennummer. Die Daten werden in den USA verarbeitet. Mit dem Anbieter besteht eine Vereinbarung zur Auftragsverarbeitung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, hinsichtlich Gesundheitsdaten zusätzlich Art. 9 Abs. 2 lit. a DSGVO. Nach den Angaben des Anbieters werden über die Programmierschnittstelle übermittelte Eingaben nicht zum Training allgemeiner KI-Modelle verwendet und innerhalb von 30 Tagen gelöscht; stuft der Anbieter eine Anfrage als möglichen Verstoß gegen seine Nutzungsrichtlinien ein, bewahrt er Ein- und Ausgaben bis zu zwei Jahre auf (Anbieterangabe, Stand Juli 2026). Datenschutz: anthropic.com/legal/privacy.

d) Zahlungsabwicklung

Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland. Zweck: Abwicklung von Zahlungen, Rechnungsstellung, Kundenportal, Abo-Verwaltung, Betrugsprävention. Datenkategorien: Name, E-Mail-Adresse, Rechnungs- und Zahlungsdaten, Kauf-Historie, technische Metadaten. Wir übermitteln Ihre E-Mail-Adresse bzw. Ihre Stripe-Kundennummer sowie einen Nachweis Ihrer Erklärungen im Bestellvorgang (Zeitpunkt, Fassung, ggf. Ihr Widerspruch gegen Hinweis-Mails). Kündigen Sie über unser Kündigungsformular, ermitteln wir Ihr Abo anhand der angegebenen Vertrags-E-Mail-Adresse bei Stripe und veranlassen dort die Beendigung. Für persönliche Rabattcodes, die wir Anmeldungen der früheren Warteliste geschickt haben, ist die jeweilige E-Mail-Adresse beim Code in Stripe hinterlegt. Vollständige Kreditkarten- und Kontodaten werden ausschließlich durch Stripe verarbeitet und sind für uns nicht einsehbar. Stripe hat nach seiner Vereinbarung zur Datenverarbeitung zwei Rollen: In unserem Auftrag (Art. 28 DSGVO) stellt Stripe uns seine Plattform und Dienste bereit, insbesondere Bezahlseite, Abo-Verwaltung, Kundenportal, Rechnungen und Rabattcodes. In eigener Verantwortung handelt Stripe, soweit es Banken und Zahlungsdienstleister einbindet, Betrug und finanzielle Risiken abwehrt, eigene aufsichts-, geldwäsche- und steuerrechtliche Pflichten erfüllt, seine eigene Abrechnung führt und seine Produkte weiterentwickelt; insoweit gilt die Datenschutzerklärung von Stripe. Auf den Bezahlseiten von Stripe setzt Stripe in eigener Verantwortung Cookies. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; im Bereich Betrugsprävention zusätzlich Art. 6 Abs. 1 lit. f DSGVO. Datenschutz: stripe.com/de/privacy.

e) E-Mail-Versand

Plus Five Five, Inc. (Handelsname „Resend“), USA. Zweck: Versand aller E-Mails – Anmeldecodes und Anmeldelinks nach dem Kauf, Bestellbestätigungen (mit den AGB als PDF), Kündigungs- und Widerrufsbestätigungen, Mitteilungen zum Abo-Ende und Verlängerungshinweise, Ihr Trainingsplan, Erinnerungs- und Hinweis-Mails (Ziffer 14), Mails der Einstufung sowie interne Benachrichtigungen an uns über eingegangene Formulare. Datenkategorien: E-Mail-Adresse, der Inhalt der jeweiligen E-Mail (z. B. Ihr Trainingsplan oder Ihre Angaben in Formularen), Versand- und Zustelldaten. Die Plan-E-Mail enthält Übungen, Sätze und Wiederholungen sowie allgemeine Sicherheitshinweise; Ihre persönlichen Sicherheitshinweise und die Ziel-Zusammenfassung schicken wir nicht per E-Mail, sie stehen nur in Ihrem Konto. Der Versand erfolgt über Server in Irland; der Anbieter verarbeitet Daten nach seinen Vertragsbedingungen auch in den USA. Mit Resend besteht ein Vertrag zur Auftragsverarbeitung. Rechtsgrundlage: je nach E-Mail Art. 6 Abs. 1 lit. b, c, f oder a DSGVO (siehe Ziffer 5 und 14). Datenschutz: resend.com/legal/privacy-policy.

f) Fehler-Monitoring (Error-Tracking)

Functional Software, Inc. (Handelsname „Sentry“), San Francisco, CA, USA. Zweck: Automatische Erfassung technischer Fehler zur Aufrechterhaltung des stabilen Betriebs. Wir nutzen die EU-Region des Anbieters; Fehlerdaten werden auf Servern in der Europäischen Union (Frankfurt am Main) verarbeitet. Fehler aus der iOS-App leiten wir über unseren eigenen Server weiter (Ziffer 20). Datenkategorien: Fehlermeldungen, Stack-Traces, bei Fehlern der App die App-Version, aufgerufene Adresse ohne URL-Parameter, Zeitstempel sowie Leistungsdaten (Laufzeiten) einer Stichprobe der Anfragen an unseren Server. Wir senden bewusst weder Ihren Namen noch Ihre E-Mail-Adresse, Ihre IP-Adresse oder Ihre Konto- und Stripe-Kundennummer mit (Einstellung sendDefaultPii: false). Ein Filter entfernt vor dem Versand zusätzlich personenbezogene Felder sowie E-Mail-Adressen, Stripe-Kunden- und Zahlungskennungen und Anmelde-Parameter aus allen Texten. Technische Fehlermeldungen können dennoch interne, pseudonyme Kennungen enthalten (z. B. die eines Trainingsplans, eines Datenbank-Eintrags oder eines Zahlungsereignisses bei Stripe), die nur wir einer Person zuordnen könnten. Eine Session-Replay-Aufzeichnung findet nicht statt. Mit Sentry besteht ein Vertrag zur Auftragsverarbeitung. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem stabilen, sicheren Betrieb der Anwendung; Ihr Interesse ist durch den Verzicht auf Namen, E-Mail-Adresse, IP-Adresse und Kundennummern gewahrt). Speicherdauer: Sentry löscht die Fehlerdaten automatisch nach der für unser Konto geltenden Aufbewahrungsfrist des Anbieters; vorher löschen wir sie, sobald der Fehler behoben ist und sie nicht mehr gebraucht werden. Datenschutz: sentry.io/privacy.

g) Reichweitenanalyse (Web-Analytics)

Wir setzen derzeit keine Reichweitenanalyse und keine Analyse-Skripte ein.

h) Code-Verwaltung, Abläufe und Datensicherung

GitHub, Inc., San Francisco, CA, USA. Zweck: Verwaltung des Programmcodes, automatisierte Abläufe (z. B. zeitgesteuerte Erinnerungen und Aufräumläufe) und tägliche Sicherungskopien unserer Datenbank. Eine Sicherung ist eine vollständige Kopie unserer Datenbank (Ziffer 8 b) einschließlich der Gesundheitsangaben. Sie wird auf einem von GitHub bereitgestellten Server erstellt, dort vor dem Ablegen verschlüsselt und anschließend bei GitHub gespeichert; abgelegt werden nur verschlüsselte Dateien. Die Server von GitHub können sich auch in den USA befinden. Speicherdauer der Sicherungen: Ziffer 11. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Schutz vor Datenverlust), hinsichtlich Gesundheitsdaten im Rahmen Ihrer Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO. Datenschutz: GitHub-Datenschutzerklärung.

i) E-Mail-Postfach und Domain

IONOS SE, Montabaur, Deutschland. Zweck: Betrieb unseres Postfachs kontakt@mycaliplan.de und unserer Domain. Dort gehen Ihre E-Mails an uns sowie unsere internen Benachrichtigungen über eingegangene Formulare (z. B. Feedback, Kündigung, Widerruf, mit deren Inhalt) ein. Mit IONOS besteht ein Vertrag zur Auftragsverarbeitung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b, c bzw. f DSGVO je nach Anliegen. Speicherdauer: Ziffer 11.

j) App Store (Apple)

Die iOS-App laden Sie über den App Store von Apple herunter; Testversionen verteilen wir über Apples Dienst TestFlight. Für Download, Konto und App-Store-Funktionen ist Apple eigenständig verantwortlich; es gilt die Datenschutzrichtlinie von Apple. Die App selbst sendet keine Daten an Apple, sie kommuniziert ausschließlich mit unserem Server (Ziffer 20).

k) Instagram

Wir betreiben einen Auftritt auf Instagram (Meta Platforms Ireland Limited, Irland). In unserer Website und App gibt es dazu nur einen einfachen Link; erst wenn Sie ihn öffnen, gelangen Sie zu Instagram. Wenn Sie unseren Auftritt besuchen oder uns dort schreiben, verarbeitet Meta Ihre Daten nach eigenen Bestimmungen und in eigener Verantwortung. Für die Statistiken, die Meta über die Nutzung unseres Auftritts erstellt und uns nur zusammengefasst anzeigt („Insights“), sind wir nach der Rechtsprechung des Europäischen Gerichtshofs (Urteil vom 5. Juni 2018, C-210/16) gemeinsam mit Meta verantwortlich (Art. 26 DSGVO). Nach der von Meta hierfür bereitgestellten Vereinbarung übernimmt Meta die Hauptverantwortung für diese Verarbeitung, einschließlich der Information der Betroffenen und der Bearbeitung von Betroffenenrechten. Ihre Rechte können Sie sowohl gegenüber Meta als auch gegenüber uns geltend machen (Art. 26 Abs. 3 DSGVO). Ihre Nachrichten an uns lesen und beantworten wir auf Instagram. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (unser Interesse, unser Angebot darzustellen und mit Interessierten zu kommunizieren). Bitte senden Sie uns über Instagram keine Gesundheits- oder Vertragsangaben, sondern nutzen Sie dafür E-Mail. Datenschutz: privacycenter.instagram.com/policy.

9. Drittlandübermittlung

Einige Dienstleister haben ihren Sitz in den USA oder können von dort auf Daten zugreifen. Grundlage der Übermittlung ist je Empfänger:

• Render (Ziffer 8 a): Speicherort Frankfurt am Main; Unternehmen in den USA, Zugriff von dort nicht ausgeschlossen. Angemessenheitsbeschluss (EU-U.S. Data Privacy Framework); laut Vertrag ersatzweise Standardvertragsklauseln – der Empfänger ist im Register des Data Privacy Framework als zertifiziert eingetragen (Abfrage vom 6. Oktober 2026).
• Neon (Databricks) (Ziffer 8 b): Speicherort Frankfurt am Main; Unternehmen in den USA, Zugriff von dort nicht ausgeschlossen. Angemessenheitsbeschluss (EU-U.S. Data Privacy Framework) – der Empfänger ist im Register des Data Privacy Framework als zertifiziert eingetragen (Abfrage vom 6. Oktober 2026).
• Anthropic (Ziffer 8 c): Vertragspartner in Irland; Verarbeitung durch Anthropic, PBC in den USA. EU-Standardvertragsklauseln in der Vereinbarung zur Auftragsverarbeitung (Art. 46 Abs. 2 lit. c DSGVO) – der Empfänger ist nicht nach dem Data Privacy Framework zertifiziert (Abfrage vom 6. Oktober 2026).
• Stripe (Ziffer 8 d): Vertragspartner in Irland; Übermittlung an Stripe, LLC in den USA im Konzernverbund. Angemessenheitsbeschluss (EU-U.S. Data Privacy Framework) – der Empfänger ist im Register des Data Privacy Framework als zertifiziert eingetragen (Abfrage vom 6. Oktober 2026).
• Resend (Ziffer 8 e): Versand über Server in Irland; Unternehmen in den USA, Verarbeitung auch dort. Angemessenheitsbeschluss (EU-U.S. Data Privacy Framework); zusätzlich Standardvertragsklauseln in der Vereinbarung zur Auftragsverarbeitung – der Empfänger ist im Register des Data Privacy Framework als zertifiziert eingetragen (Abfrage vom 6. Oktober 2026).
• Sentry (Ziffer 8 f): Speicherort in der EU (Frankfurt am Main); Unternehmen in den USA, Konzernzugriff nicht ausgeschlossen. Angemessenheitsbeschluss (EU-U.S. Data Privacy Framework); laut Vertrag ersatzweise Standardvertragsklauseln – der Empfänger ist im Register des Data Privacy Framework als zertifiziert eingetragen (Abfrage vom 6. Oktober 2026).
• GitHub (Ziffer 8 h): Server auch in den USA. Angemessenheitsbeschluss (EU-U.S. Data Privacy Framework) – der Empfänger ist im Register des Data Privacy Framework als zertifiziert eingetragen (Abfrage vom 6. Oktober 2026).
• Das Netzwerk von Cloudflare, das Render für Verbindungsaufbau und Auslieferung nutzt (Ziffer 8 a), arbeitet weltweit; es ist über Render eingebunden.

Für die USA hat die EU-Kommission mit dem Durchführungsbeschluss (EU) 2023/1795 festgestellt, dass Unternehmen, die nach dem EU-U.S. Data Privacy Framework zertifiziert sind, ein angemessenes Schutzniveau bieten (Art. 45 DSGVO). Gegen diesen Beschluss ist ein Rechtsmittel beim Europäischen Gerichtshof anhängig; sollte er aufgehoben werden, stützen wir die Übermittlung, soweit vorhanden, auf die Standardvertragsklauseln der Verträge oder stellen sie ein. Wo keine Zertifizierung besteht, gelten die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Wir weisen darauf hin, dass Behörden in den USA unter bestimmten Voraussetzungen auf personenbezogene Daten zugreifen können und die Rechtsschutzmöglichkeiten dort nicht in jeder Hinsicht denen in der EU entsprechen. Eine Kopie der Standardvertragsklauseln erhalten Sie auf Anfrage an kontakt@mycaliplan.de; der Text ist außerdem als Durchführungsbeschluss (EU) 2021/914 der EU-Kommission auf eur-lex.europa.eu abrufbar.

10. Datenminimierung

Wir bemühen uns, nur solche Daten zu verarbeiten, die für die Bereitstellung der Trainingsfunktionen erforderlich sind.

Nutzer werden gebeten, keine unnötigen sensiblen Gesundheitsdaten, Diagnosen, Medikamentenlisten oder medizinischen Unterlagen innerhalb von Freitextfeldern einzugeben.

Ohne Einwilligung zu Gesundheitsdaten verlassen die Antworten auf Gesundheitsfragen Ihr Gerät nicht. An den KI-Dienst geben wir keine Konto-Kennungen weiter und entfernen E-Mail-Adressen und Telefonnummern aus Freitexten (Ziffer 7).

11. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie dies für die jeweiligen Zwecke erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen. Abgelaufene oder fristgebundene Einträge löschen wir in einem täglichen automatischen Lauf. Im Einzelnen:

• Konto, Plan, Trainings- und Fortschrittsdaten, Fragebogen, Ziel-Einstellungen, Reaktionen auf Neuigkeiten und Einwilligungs-Einträge: bis zur Löschung Ihres Kontos (jederzeit im Profil-Bereich der Website oder der App möglich). Frühere Stände von Trainingseinheiten (Papierkorb) bewahren wir zum Schutz vor versehentlichem Verlust auf; sie werden nicht ausgewertet und 30 Tage nach dem Überschreiben bzw. Löschen im täglichen Lauf gelöscht.
• Freiwillig angegebene Gesundheitsdaten: bis zur Löschung des Kontos oder bis zum Widerruf Ihrer Einwilligung (Umfang des Widerrufs: Ziffer 6).
• Anmeldecodes und -links: Ein Anmeldecode ist 10 Minuten gültig, ein Anmeldelink nach dem Kauf 24 Stunden. Abgelaufene Codes und Links löschen wir im ersten täglichen Lauf, sobald sie einen Tag abgelaufen sind.
• Anmeldung und App-Token: Die Anmeldung auf der Website gilt bis zu 30 Tage nach der letzten Nutzung, ein Anmelde-Token der App 90 Tage ab Anmeldung; beide enden sofort beim Abmelden. Abgelaufene Sitzungen und Token löschen wir im ersten täglichen Lauf, sobald sie einen Tag abgelaufen sind.
• Zähler der Anmeldeversuche: werden im ersten täglichen Lauf gelöscht, sobald der letzte Anmeldeversuch einen Tag zurückliegt.
• Nicht bestätigte Anmeldungen zur Einstufung bzw. Warteliste: werden im ersten täglichen Lauf gelöscht, sobald der Eintrag 14 Tage alt ist.
• Bestätigte Anmeldungen zur Einstufung bzw. Warteliste: ohne Newsletter-Einwilligung (auch Einträge der früheren Warteliste) löschen wir im ersten täglichen Lauf, sobald die Bestätigung 30 Tage zurückliegt; mit Newsletter-Einwilligung bis zu Ihrer Abmeldung; danach löschen wir den Eintrag im nächsten täglichen Lauf und behalten nur Ihre Adresse in der Sperrliste.
• Werbe-Sperrliste: solange wir werbliche E-Mails versenden, damit Ihr Widerspruch dauerhaft beachtet wird; auf Wunsch löschen wir den Eintrag (Ziffer 14 c).
• Rechnungs-, Zahlungs- und steuerrechtlich relevante Unterlagen: für die Dauer der gesetzlichen Aufbewahrungsfristen, in der Regel acht Jahre ab dem Ende des Kalenderjahres gemäß § 147 Abs. 3 und 4 AO; die Frist verlängert sich, solange die steuerliche Festsetzungsfrist noch nicht abgelaufen ist. Diese Unterlagen bleiben auch nach Löschung des Kontos erhalten.
• Nachweise (Erklärungen im Bestellvorgang, Bestellbestätigungen, eingegangene Kündigungen und Widerrufe, Protokolleinträge zu diesen Bestätigungen): auch nach Löschung des Kontos, solange wir sie zum Nachweis benötigen: Erklärungen im Bestellvorgang 6 Jahre ab der Bestellung (enthält eine solche Erklärung Ihre frühere Einwilligung zu Gesundheitsdaten, mindestens solange Ihr Konto besteht); Bestätigungs-E-Mails im Versandprotokoll 4 Jahre ab Versand; eingegangene Kündigungen 4 Jahre und Widerrufe 4 Jahre ab Eingang. Danach löschen wir sie im täglichen Lauf. Maßgeblich ist die regelmäßige Verjährung von drei Jahren ab Ende des Jahres, in dem ein Anspruch entsteht (§§ 195, 199 BGB). Die Empfängeradresse einer Bestellbestätigung löschen wir, sobald die Bestätigung versandt ist.
• Übriges Versandprotokoll: Einträge zu Ihrer Adresse löschen wir mit Ihrem Konto; im Übrigen 12 Monate nach dem Versand.
• Feedback: solange es für die Bearbeitung erforderlich ist bzw. bis Sie die Löschung verlangen. Mit der Löschung Ihres Kontos entfernen wir Ihre E-Mail-Adresse und die Verknüpfung zum Konto; eine veröffentlichte Bewertung bleibt ohne E-Mail-Adresse stehen, bis Sie Ihre Einwilligung widerrufen.
• E-Mails an uns: solange es für die Bearbeitung Ihres Anliegens und etwaige Nachweise erforderlich ist; Unterlagen mit steuerlicher Bedeutung im Rahmen der gesetzlichen Aufbewahrungsfristen.
• Sicherungskopien: tägliche Sicherungen werden nach 30 Tagen automatisch gelöscht, monatliche Sicherungen nach Ablauf der dafür eingestellten Aufbewahrungsfrist (technisch höchstens 400 Tage). Einzelne Konten werden in Sicherungen nicht nachträglich entfernt. Stellen wir eine Sicherung wieder her, wenden wir die seit Einführung unseres Löschprotokolls (Oktober 2026) erfolgten Löschungen und Widerrufe erneut an. Für frühere Löschungen fehlt dieser Vermerk; müssten wir aus einer älteren Sicherung wiederherstellen, löschen wir die betroffenen Daten erneut, soweit uns die Löschung dann noch bekannt ist. Solche älteren Sicherungen laufen spätestens nach der genannten Höchstdauer ab. Dazu bewahren wir ein Löschprotokoll ohne Inhalte 410 Tage lang auf.
• Server-Logfiles: grundsätzlich für maximal 30 Tage, sofern keine längere Speicherung zur Aufklärung von Sicherheitsvorfällen oder zur Durchsetzung rechtlicher Ansprüche erforderlich ist.
• Daten auf Ihrem Gerät: siehe Ziffer 13 und 20.

Nach Ablauf der jeweiligen Fristen werden die betreffenden Daten gelöscht oder anonymisiert, sofern keine gesetzlichen Aufbewahrungspflichten oder berechtigten Interessen einer Löschung entgegenstehen.

12. Sicherheit der Verarbeitung

Wir treffen angemessene technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten.

Dazu gehören insbesondere:

• verschlüsselte Datenübertragung (TLS/HTTPS),
• Zugriffsbeschränkungen,
• Zugangsschutz (Anmeldung per Einmal-Code, in der App per Anmelde-Token im Schlüsselbund des Geräts, gesonderter passwortgeschützter Admin-Zugang),
• tägliche verschlüsselte Datensicherung.

13. Cookies und Speicher auf Ihrem Gerät

Die Plattform verwendet nur technisch notwendige Cookies und Speichertechnologien, die für Login, Sicherheit und die von Ihnen genutzten Funktionen erforderlich sind. Im Einzelnen:

• Anmelde-Cookie (authjs.session-token): hält Sie nach dem Login angemeldet; Laufzeit bis zu 30 Tage nach der letzten Nutzung, endet sofort beim Abmelden.
• Sicherheits- und Rücksprung-Cookies (authjs.csrf-token, authjs.callback-url): schützen den Anmeldevorgang; sie werden beim Schließen des Browsers gelöscht.
• Lokaler Browser-Speicher (localStorage), nur im Kundenbereich bzw. Fragebogen:
  • Zwischenstand des Fragebogens einschließlich Ihrer Gesundheitsangaben (calisthenics_quiz_answers) – wird nach erfolgreicher Planerstellung, spätestens 14 Tage nach der letzten Bearbeitung sowie beim Widerruf Ihrer Einwilligung zu Gesundheitsdaten entfernt;
  • Entwurf der laufenden Trainingseinheit (mcp:training-draft:…);
  • Entlastungswochen (mycaliplan:deload:…, mycaliplan:deload-pending:…);
  • Ziel-Einstellungen (mycaliplan:ziele-status, mycaliplan:ziele-target, mycaliplan:ziele-hidden);
  • laufender Pausen-Timer (mycaliplan_rest_timer_v1).
  Diese Einträge bleiben auf Ihrem Gerät und werden beim Abmelden und beim Löschen des Kontos entfernt.

Diese Speicherungen sind unbedingt erforderlich, um die von Ihnen gewünschten Funktionen bereitzustellen (§ 25 Abs. 2 Nr. 2 TDDDG; Art. 6 Abs. 1 lit. b DSGVO, für Gesundheitsangaben Art. 9 Abs. 2 lit. a DSGVO). Auf den Bezahlseiten von Stripe setzt Stripe in eigener Verantwortung Cookies (Ziffer 8 d). Zur Speicherung in der iOS-App siehe Ziffer 20.

Analyse- oder Marketing-Technologien setzen wir nicht ein. Sofern künftig solche Technologien eingesetzt werden, die Informationen auf Ihrem Endgerät speichern oder auslesen, erfolgt dies nur auf Grundlage einer gesonderten Einwilligung.

14. E-Mail-Kommunikation: kostenlose Einstufung, Kunden-Hinweise und Versandprotokoll

a) Kostenlose Einstufung (und frühere Warteliste)

Wenn Sie im Rahmen der kostenlosen Einstufung Ihre E-Mail-Adresse angeben, verarbeiten wir die Adresse, Ihre Eingaben in der Einstufung (z. B. Ziel-Skill, Stufe, Trainingstage, Ausstattung) und das daraus berechnete Ergebnis, die Herkunft der Anmeldung (z. B. „Einstufung“ oder die verweisende Website) sowie die Zeitpunkte von Anmeldung, Bestätigung und Versand. Die Anmeldung erfolgt im Double-Opt-In-Verfahren: Sie wird erst wirksam, wenn Sie den Link in unserer E-Mail öffnen und auf der Bestätigungsseite auf die Schaltfläche klicken. Danach senden wir Ihnen einmalig Ihr Einstufungs-Ergebnis; diese E-Mail enthält ohne Ihre Newsletter-Einwilligung keine Werbung. Rechtsgrundlage für Anmeldung, Bestätigung und Ergebnis ist Ihre Anforderung (Art. 6 Abs. 1 lit. b DSGVO). Weitere E-Mails (Trainings-Tipps und Angebote, „Newsletter“) erhalten Sie nur, wenn Sie dafür das gesonderte, nicht vorausgewählte Häkchen gesetzt und die Anmeldung bestätigt haben; dann speichern wir Wortlaut, Fassung und Zeitpunkt dieser Einwilligung als Nachweis. Rechtsgrundlage für den Newsletter ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 7 Abs. 2 Nr. 2 UWG). Sie können die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen – über den Abmelde-Link in jeder dieser E-Mails oder per Nachricht an kontakt@mycaliplan.de. Wer sich vor Einführung dieses Häkchens (vor dem 6. Oktober 2026) zur Einstufung angemeldet hat, erhält keine Trainings-Tipps und Angebote per E-Mail. An Einträge der früheren Warteliste versenden wir keine E-Mails mehr. Speicherdauer und Löschung: Ziffer 11.

b) Hinweis-Mails an Kundinnen und Kunden

Mit einem aktiven Pro-Abo erhalten Sie die dazugehörigen Erinnerungs- und Hinweis-Mails (Trainings-Erinnerung, wenn Sie länger nichts eingetragen haben; Hinweis, dass Ihre nächste Plan-Anpassung möglich ist). Sie sind Teil der vertraglichen Leistung (Ziffer 3 b der AGB) und enthalten keine Werbung; Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Sie können sie jederzeit abbestellen.

Um eine Bewertung bitten wir nicht per E-Mail, sondern nur im Kundenbereich (Ziffer 21). Den Hinweis-Mails können Sie jederzeit widersprechen – schon im Bestellvorgang per Häkchen, über den Abmelde-Link in jeder dieser E-Mails oder per Nachricht an kontakt@mycaliplan.de –, ohne dass hierfür andere als die Übermittlungskosten nach den Basistarifen entstehen. Der Widerspruch im Bestellvorgang und jede Abmeldung gelten für alle abbestellbaren E-Mails an Ihre Adresse. Pflicht-Mails (z. B. Anmeldecodes, Bestell-, Kündigungs- und Widerrufs-Bestätigungen, Mitteilungen zum Abo-Ende, Verlängerungs-Hinweise) sind vom Widerspruch ausgenommen, da sie zur Vertragserfüllung bzw. aufgrund gesetzlicher Pflichten erforderlich sind (Art. 6 Abs. 1 lit. b bzw. lit. c DSGVO).

c) Abmelde-Sperrliste

Melden Sie sich ab oder widersprechen Sie, speichern wir Ihre E-Mail-Adresse mit Zeitpunkt und Art der Abmeldung in einer internen Sperrliste, damit der Widerspruch dauerhaft beachtet wird (Art. 21 Abs. 3, Art. 5 Abs. 2 DSGVO; Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO). Eine Abmeldung per E-Mail tragen wir ebenfalls dort ein. Eine spätere neue Anmeldung hebt die Sperre nicht automatisch auf; möchten Sie wieder E-Mails erhalten, genügt eine Nachricht an uns. Auf Wunsch löschen wir auch diesen Eintrag; danach können wir die Beachtung des Widerspruchs allerdings nicht mehr technisch sicherstellen.

d) Versandprotokoll

Über jede versandte E-Mail führen wir ein Protokoll (Art der E-Mail, Empfängeradresse, Betreff, Zeitpunkt, Zustellstatus bzw. Fehlermeldung), um den Versand nachweisen und Fehler erkennen zu können. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Speicherdauer: Ziffer 11.

15. Rechte betroffener Personen

Nutzer haben nach der DSGVO insbesondere folgende Rechte:

• Recht auf Auskunft
• Recht auf Berichtigung
• Recht auf Löschung
• Recht auf Einschränkung der Verarbeitung
• Recht auf Datenübertragbarkeit
• Recht auf Widerspruch
• Recht auf Widerruf erteilter Einwilligungen
• Recht auf Beschwerde bei einer Datenschutzaufsichtsbehörde

Ausübung Ihrer Rechte

Zur Ausübung Ihrer Datenschutzrechte (z. B. Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit oder Widerruf einer Einwilligung) genügt eine formlose E-Mail an kontakt@mycaliplan.de. Für eine Auskunft stellen wir die zu Ihrer E-Mail-Adresse gespeicherten Daten zusammen und senden sie Ihnen auf Wunsch als Datei in einem gängigen, maschinenlesbaren Format (JSON). Damit niemand fremde Daten anfordern kann, senden wir sie nur an die E-Mail-Adresse Ihres Kontos; kommt eine Anfrage von einer anderen Adresse, bitten wir um eine kurze Bestätigung von der Konto-Adresse aus. Ihr Konto können Sie jederzeit selbst im Profil-Bereich löschen, Ihre Einwilligung zu Gesundheitsdaten dort selbst widerrufen (Ziffer 6).

Wir bearbeiten Ihre Anfrage unverzüglich und antworten grundsätzlich innerhalb eines Monats nach Eingang Ihrer Anfrage, soweit gesetzlich keine abweichenden Fristen gelten.

16. Zuständige Aufsichtsbehörde

Zuständige Datenschutzaufsichtsbehörde ist insbesondere:

Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg

https://www.baden-wuerttemberg.datenschutz.de/

17. Minderjährige

Die Plattform richtet sich an Personen ab 18 Jahren; neue Verträge schließen wir nur mit Volljährigen (AGB Ziffer 7). Wer seinen Vertrag früher mit 16 oder 17 Jahren geschlossen hat, behält ihn.

In die Verarbeitung von Gesundheitsdaten können Personen ab 16 Jahren selbst einwilligen (wir wenden Art. 8 Abs. 1 DSGVO entsprechend an). Wer im Fragebogen ein Alter unter 16 Jahren angibt, kann nicht einwilligen; wir verarbeiten dann keine Gesundheitsangaben.

18. Keine medizinische Leistung

Die angebotenen Trainingspläne und Inhalte dienen ausschließlich allgemeinen Fitness- und Trainingszwecken.

Es erfolgt keine medizinische Beratung, Diagnose oder Behandlung.

Die Nutzung erfolgt eigenverantwortlich.

19. Datenschutzbeauftragter

Ein Datenschutzbeauftragter ist derzeit nicht benannt. Für alle Fragen zum Datenschutz und zur Ausübung Ihrer Rechte wenden Sie sich bitte an kontakt@mycaliplan.de (Ziffer 1).

20. MyCaliplan-App (iOS)

Die App ist eine Begleit-App für bestehende Kundenkonten. Sie zeigt Ihren Plan und speichert Ihre Trainings-Einträge in demselben Konto wie die Website; sie verarbeitet dieselben Konto-, Trainings- und Gesundheitsdaten (Ziffer 3) und kommuniziert ausschließlich mit unserem Server. In der App sind keine Analyse-, Werbe- oder Tracking-Dienste Dritter eingebunden, und sie nutzt keine Push-Dienste.

Anmeldung

Zur Anmeldung senden wir einen sechsstelligen Einmal-Code an Ihre E-Mail-Adresse (Versand über Resend, Ziffer 8 e). Nach richtiger Eingabe erhält die App ein Anmelde-Token; es ist 90 Tage ab Anmeldung gültig und endet beim Abmelden. Auf unserem Server speichern wir das Token nur als Prüfwert (Hash) mit dem Zeitpunkt der letzten Nutzung. Bei jeder Anfrage übermittelt die App ihre Versionsnummer.

Speicherung auf Ihrem Gerät

• das Anmelde-Token im iOS-Schlüsselbund (nur auf diesem Gerät, nicht in Gerätesicherungen);
• in den App-Einstellungen des Geräts: Ihre zuletzt verwendete E-Mail-Adresse, eine Kopie Ihres Plans (einschließlich der darin enthaltenen Hinweise) und Ihres Trainingskalenders für die Nutzung ohne Netz, noch nicht übertragene Trainings-Einträge, Entwürfe laufender Trainingseinheiten, Ihre Wahl zu Fehlerberichten sowie Ihre Wecker-Einstellungen (Ton, Wiederholung).

Beim Abmelden widerruft die App das Token auch auf unserem Server und entfernt Plan- und Kalender-Kopie sowie Entwürfe vom Gerät. Ihre E-Mail-Adresse und noch nicht übertragene Trainings-Einträge bleiben dabei bewusst erhalten, damit die Einträge bei der nächsten Anmeldung nicht verloren gehen; meldet sich eine andere E-Mail-Adresse an, werden sie gelöscht. Löschen Sie Ihr Konto in der App, entfernt sie alle genannten Daten vom Gerät.

Mitteilungen

Den Wecker des Pausen-Timers erzeugt Ihr Gerät als lokale Mitteilung, wenn Sie dies erlauben; dafür werden keine Daten an uns oder Dritte übertragen.

Fehlerberichte

Nur wenn Sie im Profil der App den Schalter „Fehlerberichte senden“ einschalten (Standard: aus), sendet die App bei einem technischen Fehler einen Fehlerbericht ohne Anmelde-Token und ohne Konto-Kennung an unseren Server: Fehlermeldung, gekürzter technischer Ablauf, App-Version und der aufgerufene Bereich der App. E-Mail-Adressen werden schon auf dem Gerät aus dem Bericht entfernt. Wir werten ihn mit dem in Ziffer 8 f genannten Dienst aus. Sie können den Schalter jederzeit wieder ausschalten.

Rechtsgrundlagen

Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung der App), für Fehlerberichte Ihre Einwilligung (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO), für Gesundheitsangaben Art. 9 Abs. 2 lit. a DSGVO. Die übrige Speicherung auf Ihrem Gerät ist für die von Ihnen gewünschten Funktionen unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Für Download und App Store siehe Ziffer 8 j. Rechtstexte öffnet die App über die Rechts-Links auf dem Anmeldebildschirm und im Profil.

21. Weitere Verarbeitungen im Kundenkonto und in Formularen

Anmeldung und Missbrauchsschutz

Website und App melden Sie per Einmal-Code an, den wir an Ihre E-Mail-Adresse senden; nach einem Kauf erhalten Sie zusätzlich einen Anmeldelink. Damit niemand Codes in großer Zahl anfordert oder durchprobiert, zählen wir Anforderungen und Eingabeversuche je E-Mail-Adresse – auch für Adressen, zu denen kein Konto besteht (Art. 6 Abs. 1 lit. f DSGVO).

Bestellung und Nachweise

Beim Kauf speichern wir den Wortlaut und die Fassung Ihrer Erklärungen im Bestellvorgang mit Zeitpunkt, E-Mail-Adresse und der Kennung des Bezahlvorgangs als Nachweis. Ihre Bestellbestätigung versenden wir automatisch, bei Störungen mit Wiederholungsversuchen; dafür speichern wir Produkt, Betrag, Zeitpunkt, Versandstatus und die Fassung der Texte (Art. 6 Abs. 1 lit. b, c und f DSGVO).

Kündigung

Im Kündigungsformular verarbeiten wir die Vertrags-E-Mail-Adresse, optional eine abweichende Kontakt-Adresse und Bestellnummer, die Art der Kündigung, den gewünschten Termin und bei einer außerordentlichen Kündigung den Grund, dazu den Zeitpunkt des Eingangs. Eine ordentliche Kündigung führen wir automatisch bei Stripe aus (Ziffer 8 d) und bestätigen sie per E-Mail. Kündigen Sie über das Kundenportal von Stripe oder endet ein Abo dort aus anderen Gründen, halten wir das ebenfalls fest und informieren Sie (Art. 6 Abs. 1 lit. b und c DSGVO).

Widerruf

Im Widerrufsformular verarbeiten wir Ihren Namen, die Vertrags-E-Mail-Adresse, optional Bestellnummer, Vertragsart, Bestelldatum, einen Hinweis und eine Kontakt-Adresse sowie den Zeitpunkt des Eingangs; sind Sie angemeldet, füllen wir Name und Adresse vor. Wir bestätigen den Eingang per E-Mail und halten die Bearbeitung (Prüfung, Erstattung mit Betrag und Datum) fest (Art. 6 Abs. 1 lit. b und c DSGVO).

Feedback und Bewertungen

Im Feedback-Formular und im Zufriedenheits-Hinweis im Kundenbereich verarbeiten wir Ihre Nachricht, eine Bewertung, einen frei gewählten Anzeigenamen und eine freiwillige Kontakt-Adresse; sind Sie angemeldet, ordnen wir das Feedback Ihrem Konto zu. Für den Zufriedenheits-Hinweis speichern wir außerdem, wann und wie oft er angezeigt, verschoben oder geschlossen wurde. Nach dem Absenden lädt der Zufriedenheits-Hinweis – unabhängig von Ihrer Antwort – dazu ein, freiwillig eine öffentliche Bewertung zu schreiben. Eine Bewertung veröffentlichen wir auf unserer Website nur mit Ihrer gesonderten Einwilligung, nach unserer Freigabe und nur mit Anzeigenamen; wir kennzeichnen dabei, ob sie von einer zahlenden Kundin bzw. einem zahlenden Kunden oder von einem Testzugang stammt (Art. 6 Abs. 1 lit. f DSGVO, für die Veröffentlichung lit. a DSGVO).

Neuigkeiten und Ziel-Einstellungen

Wir speichern, wann Sie die Neuigkeiten im Kundenbereich zuletzt gesehen haben, und – falls Sie reagieren – Ihre Reaktion, um zu sehen, wie Neuerungen ankommen. Ihre Ziel-Einstellungen (ausgewählte Ziel-Skills und Stufen) speichern wir in Ihrem Konto, damit sie auf Website und App gleich sind (Ziel-Einstellungen und Lese-Zeitpunkt: Art. 6 Abs. 1 lit. b DSGVO; Reaktionen: Art. 6 Abs. 1 lit. f DSGVO, unser Interesse an einem Stimmungsbild zu Neuerungen).

Löschprotokoll und Verwaltung

Löschen Sie Ihr Konto, widerrufen Sie Ihre Einwilligung zu Gesundheitsdaten oder löschen Sie einzelne Einträge, vermerken wir nur die Art des Vorgangs, eine interne Kennung und den Zeitpunkt – ohne Inhalte –, damit die Löschung auch nach einer Wiederherstellung aus einer Sicherung erhalten bleibt (Art. 6 Abs. 1 lit. c und f DSGVO). Für die Verwaltung des Angebots und die Betreuung von Testzugängen führen wir interne Notizen (Art. 6 Abs. 1 lit. f DSGVO).

Stand dieser Datenschutzerklärung: 6. Oktober 2026